0day 第11章--11.1节：SafeSEH保护原理

@TOC

1、SafeSEH原理很简单：

在程序调用异常处理函数之前，对要调用的异常处理函数进行校验，当发现异常处理函数不可靠时停止对异常处理函数的调用。
编译器在编译程序时将程序所有的异常处理函数地址提取出来，编入一张安全的SHE表，并将这张表放到程序的映像里面。当程序调用异常处理函数时将函数地址与安全SHE表进行匹配，检查调用的异常处理函数是否在安全的SHE表中。

2、SafeSEH机制的运行机理：

（1）首先会检查异常处理链是否在当前程序栈中，如果不在，将停止对异常处理函数的调用。
（2）检查异常处理函数指针是否指向当前程序栈，如果是，将停止对异常处理函数的调用。

（3）当前两项检查都通过后，程序调用一个全新的函数RtlIsValidHandler()，来对异常处理函数进行有效性验证。

RtlIsValidHandler()函数对以下3种情况允许异常处理函数执行。
（1） 异常处理函数位于加载模块内存范围外，DEP关闭。
（2） 异常处理函数位于加载模块内存范围内，相应模块未启用SafeSEH(不存在SHE表)，同时相应模块不是纯IL。
（3） 异常处理函数位于加载模块内存范围内，相应模块启用SafeSEH，异常处理函数在SHE表中。

3、绕过方法

针对这3中情况，我们采取如下3种方法进行绕过

（1） 在加载模块内存范围外找到一个跳板指令就可以转入shellcode执行。
（2） 利用未启用SafeSEH模块中的指令作为跳板，转入shellcode执行。
（3） 两种思路：情况SHE表造成未启用SafeSEH的假象；将指令注册到安全SHE表中，但由于安全SHE表信息在内存中是加密存放的，因此此路不同。
（4） 还有一个思路：如果SHE中的异常函数指针指向堆区，即使安全校验发现异常处理函数不可信，仍会调用被修改过的异常处理函数！WHY???